SKT가 개인정보 유출 사고로 1348억 원의 과징금을 받았어요.
역대 최대 규모로 구글·메타를 훌쩍 넘는 수준인데요, 실제 소비자 피해는 없었다는 점에서 과징금 형평성 논란도 커지고 있습니다.
SK텔레콤이 개인정보 유출 사고로 개인정보보호위원회로부터 1348억 원에 달하는 과징금을 받았다. 개인정보위가 부과한 제재 중 국내외를 통틀어 역대 최대액이다. 일각에서는 현재 SKT 유심 해킹으로 인한 직접적인 소비자 피해 사례가 없는 상황에서 과징금 부과 형평성 논란이 제기되고 있다. SKT 측은 사고 발행 직후 유심 무상교체, 유심 보호 서비스 등을 통해 잠재적 피해를 사전에 차단에 나섰다.
고학수 개인정보보호위원회 위원장은 28일 서울 종로구 정부서울청사에서 열린 브리핑에서 “27일 전체회의를 개최해 4월 개인정보를 유출한 SKT에 대해서 안전조치 의무 및 유출 통지 위반으로 과징금 1347억9100만 원, 과태료 960만 원을 부과했다”고 밝혔다. 조사 결과 SKT가 다수의 안전조치 의무를 위반해 2324만 명이 넘는 고객의 주요 디지털 개인정보인 휴대전화번호, 가입자식별번호(IMSI), 유심인증키 이런 정보 등이 유출된 것을 확인했다.
개인정보위는 이번 유출 사태의 원인을 기본적인 보안조치 미비와 관리 소홀로 판단했다. SKT가 2022년 2월 해커가 홈가입자인증서버(HSS)에 접속한 사실을 확인했음에도 비정상 통신 여부나 추가적인 악성프로그램 설치 여부, 접근통제 정책의 적절성 등을 점검하지 않아 이번 유출 사고를 사전에 방지할 기회를 놓친 사실이 확인됐다는 것이 개인정보위의 설명이다. 개인정보위는 SKT의 개인정보보호책임자(CPO)의 역할이 제한적이었던 점도 이번 사태의 일부 원인으로 파악했다.
◆ 개보위 “매우 중대한 위반⋯2300만 피해ㆍ몇년간 보안 취약 상태 노출”
SKT의 과징금 규모는 당초 SKT의 무선통신사업 매출의 3% 수준인 3000억 원대로 매겨질 가능성도 제기됐지만 가입자 대상 재발방지 대책 등이 감경요인으로 작용한 것으로 보인다. 그럼에도 개인정보위가 2020년 출범 이후 부과한 과징금 처분 중 가장 크다.
SKT의 과징금 규모는 당초 SKT의 무선통신사업 매출의 3% 수준인 3000억 원대로 매겨질 가능성도 제기됐지만, 가입자 대상 재발방지 대책 등이 감경요인으로 작용한 것으로 보인다. 그럼에도 개인정보위가 2020년 출범 이후 부과한 과징금 처분 중 가장 크다. SKT에 부과된 과징금은 역대 최대 규모였던 구글(692억 원)과 메터(308억 원)의 과징금 액수를 훌쩍 뛰어넘는 규모다. 이에 고 위원장은 “위원회 심의에서 위반 행위의 중대성을 ‘매우 중대’로 판단했다”며 “2300만 명 넘는 이용자 피해가 발생했고 지난 몇 년간 회사의 보안이 취약한 상태 노출됐다는 점을 비롯해 여러 항목을 위반한 점을 고려했다”고 설명했다.
개인정보위는 SKT에 과징금 및 과태료 부과와 함께 향후 개인정보보호 강화를 위해 개인정보보호책임자(CPO)가 실질적인 역할과 책임을 다할 수 있도록 거버넌스 체계를 정비하는 한편 재발방지 대책을 수립해 시행할 것에 대해 시정명령하고 유출사고가 발생한 이동통신 네트워크와 시스템에 대해서 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 취득하도록 개선 권고했다.
◆ SKT “무거운 책임감…소명 반영 안돼 유감”⋯구글과 형평성 논란 제기
구글과 형평성 논란 = SKT는 개인정보위 과징금 부과 조치에 대해 “이번 결과에 무거운 책임감을 갖고 있으며 모든 경영 활동에 있어 개인정보 보호를 핵심 가치로 삼고 고객정보 보호 강화를 위해 만전을 기할 것”이라면서도 이번 처분에 대해 아쉬움을 감추지 못했다. SKT 측은 “조사 및 의결 과정에서 당사 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감이며 향후 의결서 수령 후에 내용을 면밀히 검토해 입장 정할 예정”이라며 향후 행정소송 가능성을 시사했다.
일각에서는 해킹으로 인한 실제 피해 사례가 없음에도 불구하고 제재 수위가 해외나 타사 사례와 견줘 다소 불균형하다는 지적이 제기된다. 이 때문에 업계는 이번 결정이 기업들의 자발적 신고 의지를 꺾을 수 있다는 우려도 나온다.
김승주 고려대학교 정보보호대학원 교수는 이날 페이스북에 “과징금은 해외 사례와 비교했을 때 형평성이 맞아야 하고 국내 기업들끼리 비교했을 때도 일관성이 확보돼야 한다”고 지적했다. 김 교수는 “개인정보위는 2022년 이용자 동의 없이 개인정보를 수집해 온라인 광고에 활용한 구글에 692억 원의 과징금을 부과했는데 영리 목적으로 이용자 동의 없이 수집한 개인정보를 활용한 경우보다 해킹 피해 기업에 이를 넘어서는 과징금을 부과하는 것이 옳은가”라며 “과징금을 부과하지 말라는 것이 아니라 그 규모가 타당한지는 반드시 따져봐야 한다”고 지적했다.
LG유플러스도 가입자식별번호( IMSI), 단말기식별번호(IMEI) 등 이동통신 핵심정보가 유출됐지만 ,당시 관련 시스템 매출만을 기준으로 삼아 68억 원 과징금이 부과됐다. 이 때문에 SKT도 유심 정보가 유출된 HSS(LTE·5G 음성서비스 인증 시스템)과 LTE·5G 음성서비스 매출액을 기준으로 과징금 산정이 필요하다는 주장에 힘이 실리고 있다.
기사 읽기
댓글0